Abo
  • Services:

Verschlüsselung: Mehrfach genutzte SSH-Keys weit verbreitet

Bei einem Scan des Internets hat sich herausgestellt, dass Hunderttausende von Geräten denselben SSH-Schlüssel nutzen. Teilweise liegt das an Fehlern, teilweise an fragwürdigen Konfigurationsentscheidungen.

Artikel veröffentlicht am , Hanno Böck
Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind.
Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind. (Bild: Screenshot)

Der IT-Sicherheitsforscher John Matherly hat herausgefunden, dass Hunderttausende Geräte an öffentlichen IPs dieselben SSH-Serverschlüssel einsetzen. Der am häufigsten genutzte Key stammt von Geräten des spanischen Internetproviders Telefónica. Offenbar wurden Router an Kunden ausgeliefert, die ein öffentliches SSH-Interface anbieten und dafür einen Standardschlüssel einsetzen, der auf allen Geräten derselbe ist. Der Key von Telefónica wurde auf circa 250.000 Geräten verwendet. Matherly hat dies bei der Analyse von Daten festgestellt, die bei Scans des Internet-Adressraums gesammelt wurden.

140.000 IPs von 1&1 mit demselben Key

Stellenmarkt
  1. Schwarz Zentrale Dienste KG, Flein
  2. AUNOVIS GmbH, Karlsruhe

Während im Fall von Telefónica klar sein dürfte, dass es sich um eine Sicherheitslücke handelt, ist das in anderen Fällen weniger eindeutig. So findet sich ein Key von 1&1 auf 140.000 verschiedenen IPs. Die IPs betreffen Webhosting-Server, vermutlich handelt es sich um eine deutlich geringere Anzahl an Servern, die für verschiedene IPs zuständig sind. Auf mehreren Servern denselben Schlüssel zu verwenden, ist nicht direkt ein Sicherheitsrisiko - es gilt allerdings als schlechte Praxis. Wird nur ein einziger Server davon gehackt, besitzt ein Angreifer den Key für alle anderen Server.

In vielen Fällen sind dies Sicherheitsprobleme, die schon lange bekannt oder auch öffentlich dokumentiert sind. Router des deutschen Herstellers Lancom wurden in früheren Versionen mit einem Standard-SSH-Schlüssel ausgeliefert. Ein Geheimnis ist das nicht, man kann es im Handbuch für das auf den Geräten verwendete Betriebssystem LCOS nachlesen.

Der Metasploit-Entwickler HD Moore hat auf Github ein Repository angelegt, in dem er Informationen über problematische SSH-Keys sammelt. HD Moore ruft auf Twitter dazu auf, Informationen über weitere problematische SSH-Schlüssel zu sammeln und ihm als Pull-Request zu schicken.

Auch Login-Keys von Geräten öffentlich bekannt

Besonders problematisch: In einigen Geräten findet man auch Keys zum Einloggen, die von vielen Systemen geteilt werden. Ist ein Angreifer im Besitz eines solchen Keys, kann er das Gerät direkt übernehmen. Bei Server-Keys lassen sich die betroffenen Schlüssel hingegen für eine Man-in-the-Middle-Attacke nutzen. Das ist allerdings deutlich aufwendiger.

Bereits 2012 hatte ein Forscherteam um die Kryptografin Nadia Heninger eine ähnliche Untersuchung vorgenommen und dabei diverse Sicherheitsprobleme mit kryptografischen Schlüsseln gefunden. In der FAQ zur entsprechenden Forschungsarbeit steht, dass damals 10 Prozent der SSH-Server Keys verwendeten, die aufgrund von Sicherheitslücken von mehreren Systemen eingesetzt würden. Systeme wie die von 1&1, bei denen es sich vermutlich nur um eine ungünstige Konfiguration handelt, wurden dabei bereits herausgerechnet. Bei vielen der betroffenen Geräte handelte es sich auch um Keys, die direkt beim Booten erstellt werden - zu einem Zeitpunkt, zu dem auf dem System noch kein funktionierender Zufallszahlengenerator zur Verfügung steht.



Anzeige
Blu-ray-Angebote
  1. (u. a. Logan, John Wick, Alien Covenant, Planet der Affen Survival)
  2. (u. a. 3 Blu-rays für 15€, 2 Neuheiten für 15€)

Cyb3rfr3ak 19. Feb 2015

So ein Quatsch... und ein Key Paar wird da schon gar nicht erzeugt.. 1) Client verbindet...


Folgen Sie uns
       


Nerf Laser Ops Pro - Test

Hasbros neue Laser-Ops-Pro-Blaster verschießen Licht anstelle von Darts. Das tut weniger weh und macht trotzdem Spaß.

Nerf Laser Ops Pro - Test Video aufrufen
Red Dead Online angespielt: Schweigsam auf der Schindmähre
Red Dead Online angespielt
Schweigsam auf der Schindmähre

Der Multiplayermodus von Red Dead Redemption 2 schickt uns als ehemaligen Strafgefangenen in den offenen Wilden Westen. Golem.de hat den handlungsgetriebenen Einstieg angespielt - und einen ersten Onlineüberfall gemeinsam mit anderen Banditen unternommen.

  1. Spielbalance Updates für Red Dead Online und Battlefield 5 angekündigt
  2. Rockstar Games Red Dead Redemption 2 geht schrittweise online
  3. Games US-Spielemarkt erreicht Rekordumsätze

Machine Learning: Wie Technik jede Stimme stehlen kann
Machine Learning
Wie Technik jede Stimme stehlen kann

Ein Unternehmen aus Südkorea arbeitet daran, Stimmen reproduzierbar und neu generierbar zu machen. Was für viele Branchen enorme Kosteneinsparungen bedeutet, könnte auch eine neue Dimension von Fake News werden.
Ein Bericht von Felix Lill

  1. AWS Amazon bietet seine Machine-Learning-Tutorials kostenlos an
  2. Random Forest, k-Means, Genetik Machine Learning anhand von drei Algorithmen erklärt
  3. Machine Learning Amazon verwirft sexistisches KI-Tool für Bewerber

Drahtlos-Headsets im Test: Ohne Kabel spielt sich's angenehmer
Drahtlos-Headsets im Test
Ohne Kabel spielt sich's angenehmer

Sie nerven und verdrehen sich in den Rollen unseres Stuhls: Kabel sind gerade bei Headsets eine Plage. Doch gibt es so viele Produkte, die darauf verzichten können. Wir testen das Alienware AW988, das Audeze Mobius, das Hyperx Cloud Flight und das Razer Nari Ultimate - und haben einen Favoriten.
Ein Test von Oliver Nickel

  1. Sieben Bluetooth-Ohrstöpsel im Test Jabra zeigt Apple, was den Airpods fehlt
  2. Ticpods Free Airpods-Konkurrenten mit Touchbedienung kosten 80 Euro
  3. Bluetooth-Ohrstöpsel im Vergleichstest Apples Airpods lassen hören und staunen

    •  /